حمله زنجیره‌ای تأمین (supply chain attack) بر گیت‌هاب که در مارس کوین‌بیس را هدف قرار داده بود، اکنون به یک توکن سرقت شده از گردش کار SpotBugs ردیابی شده است. این حمله پیچیده که در نوامبر ۲۰۲۴ با نفوذ به ابزار تحلیل استاتیک محبوب SpotBugs آغاز شد، منجر به سازش Reviewdog و سپس آلوده شدن tj-actions/changed-files گردید. محققان یونیت ۴۲ شرکت پالو آلتو نتورکس کشف کردند که مهاجم ابتدا توکن دسترسی شخصی (PAT) نگهدارنده SpotBugs را از طریق یک درخواست کشش مخرب سرقت کرد، سپس با استفاده از این اعتبارنامه‌های سرقتی، برچسب‌های git را در مخازن مختلف تغییر داد تا به کامیت‌های مخرب اشاره کنند.
این حمله زنجیره‌ای که ماه‌ها قبل از آنچه در ابتدا شناخته شده بود طراحی شده، در نهایت اسرار ۲۱۸ مخزن را فاش کرد و به طور خاص کوین‌بیس را هدف قرار داده بود. با وجود این که هیچ اسراری از کوین‌بیس فاش نشد و شرکت سریعاً گردش کار آلوده را حذف کرد، این حادثه مشکلات اساسی در زنجیره اعتماد بین مخازن متن‌باز و مسائل اکوسیستم GitHub Actions از جمله قابلیت تغییر برچسب‌ها و ضعف در ثبت حسابرسی را برجسته کرد. پروژه‌ها و مخازنی که از اکشن‌های سازش‌یافته استفاده کرده‌اند باید فوراً تمام اسرار خود را تغییر دهند.
کلمات کلیدی : حمله زنجیره‌ای تأمین, supply chain attack, گیت‌هاب, کوین‌بیس, SpotBugs, GitHub Actions
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.